Взлом Binance на $6,4 млрд связали с северокорейской группой TraderTraitor

Взлом Binance стал крупнейшим в истории криптовалют: Chainalysis и TRM Labs оценивают украденное примерно в $6,4 млрд ≈ 18,9 млрд BYN. Это более чем вчетверо больше предыдущего рекорда — кражи $1,5 млрд ≈ 4,42 млрд BYN у Bybit в феврале 2025 года. Биржа атаку подтвердила.

Биткоин в пятницу опускался до $76 400 ≈ 225 тыс. BYN — примерно на 6% ниже уровня, на котором торговался после решения ФРС в среду, и около 4% вниз за сутки. Ликвидировано более $1,3 млрд плечевых ставок: это сделки на заёмные деньги, которые биржи закрывают автоматически при движении цены против позиции.

Для сравнения: в марте 2018 года неудачная атака на ту же биржу за минуты уронила биткоин с $10 740 до $9 690, а к 5 апреля цена дошла примерно до $6 600. Тогда Binance заявила, что средства не украдены. Рынок, впрочем, уже был в медвежьем тренде после пика около $20 000 в декабре 2017 года.

Почему рынок не рухнул так, как в 2018-м

Капитализация всего крипторынка выросла с чуть более $400 млрд в марте 2018 года до примерно $2,6 трлн сейчас. Одна из главных причин — спотовые биткоин-ETF в США. Фонды вроде iShares Bitcoin Trust от BlackRock дают купить биткоин через обычный брокерский счёт, и сейчас они держат около 1,3 млн BTC — примерно 6% эмиссии. Их пайщики не хранят монеты на Binance, а суверенные фонды, такие как Mubadala и Abu Dhabi Investment Council, продолжают покупать. Один только фонд BlackRock в среду привлёк $136 млн, по данным Farside Investors. Такие фонды редко продают в панике, к тому же их средства заблокированы на длительные сроки.

Кража началась в 16:05 по восточному времени в четверг, после закрытия американских рынков. Поэтому предварительные $17 млн притоков в ETF за четверг её не учитывают, и пятничные данные станут первым реальным сигналом, продают ли держатели фондов.

Где сейчас украденные средства

У атакующего остаётся более 420 000 ETH и 18 270 BTC — примерно $2,4 млрд, которые не может заморозить ни один эмитент стейблкоинов. С учётом других токенов сумма превышает $3 млрд.

TRM и Chainalysis связывают атаку с северокорейской группой TraderTraitor, стоявшей за взломом Bybit. TRM Labs называет атрибуцию «высокой уверенностью», опираясь на данные ончейн и вне сети; кражу она оценивает примерно в $6,36 млрд, выведенных с кошельков Binance в десяти блокчейнах, большая часть — примерно за 20 минут начиная с 16:05 по восточному времени четверга. Chainalysis называет самым сильным доказательством то, что украденные с Binance средства в реальном времени смешивались с деньгами от взлома Bitget месяцем ранее, который приписывают северокорейским акторам. Сингапурская Pangolin Intelligence также заявила CNN, что, по её оценке, за атакой стоит северокорейское хакерское подразделение. КНДР ранее отрицала обвинения во взломах.

Обе аналитические компании говорят, что операционный кошелёк атакующего пополнялся через миксер Tornado Cash. По данным TRM, на Ethereum использовалась делегирование EIP-7702 — функция обновления Pectra, позволяющая обычному кошельку исполнять код смарт-контракта, — чтобы превратить горячий кошелёк Binance в подконтрольный «сборщик» средств; для этого заранее подготовили 50 предподписанных разрешений. Кошельки Binance в остальных девяти сетях отправляли средства атакующему обычными подписанными переводами. TRM считает, что это указывает на компрометацию инфраструктуры подписи горячих кошельков биржи. Binance сообщала, что расследование началось с ноутбука скомпрометированного инженера, но затем выявило «дополнительные точки проникновения». Chainalysis фиксирует «невиданные ранее схемы отмывания»: тысячи транзакций за короткий срок, что говорит об автоматизации, гоняющей средства по адресам. По данным TRM, атакующий также продавал USDT маркет-мейкерам и брал ETH под залог USDT в кредитном протоколе Aave, чтобы опередить заморозки эмитентов.

После той кражи около 84% украденного Ethereum перевели в биткоин через Thorchain — сеть кросс-чейн-свопов.

Что делает Binance

Биржа заявила, что выделила более $6,34 млрд собственных средств на покрытие всех потерь и покупает недостающие токены на открытом рынке и внебиржево, то есть в частных сделках. Из этой суммы $5 млрд уже хранится в затронутых токенах. Около $3 млрд заморожено, депозиты работают штатно, вывод средств должен возобновиться через 45 часов. По данным TRM, Tether, Circle, Ripple и World Liberty Financial заморозили около $2,67 млрд в стейблкоинах, а Совет безопасности Arbitrum — 8 426 ETH и 74,6 млн ARB.

Настроения на рынке были слабыми ещё до кражи и ухудшились сильнее: индекс страха и жадности CoinMarketCap, шкала от 0 до 100, опустился до 36 пунктов с 43 — после «нейтральной» зоны рынок оказался в зоне страха. Биткоин сейчас примерно на 38% ниже рекорда $126 080. В 2018 году на момент инцидента индекс находился в зоне крайнего страха на отметке 12 пунктов: трейдеры уже паниковали, и атака лишь усугубила ситуацию.

По данным Glassnode, держатели в убытке примерно по 4 млн монет, купленных в диапазоне от $85 000 до $118 000. Аналитик HashKey Тим Сун (Tim Sun) ещё до взлома говорил, что проблема рынка «не в панических продажах, а в недостаточном интересе новых покупателей».